Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2018/08/16

Garrantzia: Kritikoa

Kaltetutako baliabideak:

• PHP 7.0.*
• PHP 7.1.*

Azalpena:

PHPn aurkitu den ahultasun bat baliatuz, autentifikatu gabeko urruneko erasotzaile batek kode arbitrarioa exekuta lezake sisteman.

Konponbidea:

Oraingoz ez da argitaratu inolako konponbiderik. Kaltetutako sistemen monitorizazioa aholkatzen da, bai eta antivirus bat eta suebaki bat erabiltzea ere, ahultasuna konpontzen duen eguneraketa argitaratzen den bitartean.

Xehetasuna:

mysqli_api.c-ren kodean definitutako mysqli_real_escape_string() funtzioak duen ahultasun batek osokoen gainezkatzea eragin lezake memorian. Ahultasun hori baliatuz autentifikaziorik gabeko urruneko erasotzaile batek kontsulta gaizto bat egin lezake kode arbitrarioa exekutatzeko. Ahultasun horretarako CVE-2017-9120 identifikatzailea erreserbatu da.

Etiketak: PHP, Ahultasuna